术语和定义
11
第 二 章
1111
不确定性对目标的影响
注1：影响是与期待的偏差——积极和/或消极
注2：目标可以有不同方面（如财务、健康安全、以及环境目
标），可以体现在不同的层次（如战略、组织范围、项
目、产品和过程）。
注3：风险通常以潜在事件和后果，或它们的组合来描述。
注4：风险通常以事件（包括环境的变化）后果和发生可能性
的组合来表现。
注5：不确定性是指，对事件、其后果或可能性的认识或了
解方面的信息的缺乏或不完整的状态。
22
1.风险 risk
2222
2.后果： consequence
某一事件的结果。
注1：某一事件可能会产生不止一种的后果。
注2：后果可以是正面的负面的。然而，从安
全方面来看，后果往往都是负面的。
注3：后果可以定性或定量表述。
3.可能性：某一事件发生的机会。
3333
4.概率： probability
某一事件发生的可能程度。
注1：GB/-1993 给出了一个关于“概率”的数学定
义，度量某一随机事件发生可能性大小的实数，其值
介于0与1之间，它可以用来指在一段相当长的时间内，
某一事件将要发生的频率，或者这一事件发生的可信
程度。对于高可信度来说，概率接近“1”。
注2：在描述风险时，常用“频率”一词而不是用“概率”
一词。
注3：有关可能性的程度可以用不同的等级来表示：
------极不可能/不大可能/可能/很可能/几乎确定；或者
------难以置信/不可能/可能性极小/偶尔/有可能/经常。
4444
5.事件：event
特定情况的发生。
注1：事件可能是确定的，也可能是不确定的。
注2：事件可能是单一的，也可能是系列的。
注3：对于给定时间内事件发生的概率可以估算出来
确定的事件，是预知的，而不确定的事件，是没
有预知的，但也是有可能发生的。
事件可能是明显的，也可能是模糊的，其影响可
能是正面的，也可能是负面的。
5555
指导和控制某一组织与风险相
关问题的协调活动。
66
6.风险管理：risk management
6666
提供在组织内设计、实施、监测、评审
和持续改进风险管理的基础和组织安排的要
素集合。
注1：基础包括管理风险的方针、目标、指令和承诺。
注2：组织安排包括计划、关系、责任、资源、过程
和活动。
注3：风险管理框架被嵌入到组织的整个战略和运营
的方针和实践中。
77
7.风险管理框架
risk management framework
7777
指令和承诺
风险管理框架的设计
理解组织和其状况
建立风险管理方针
责任
嵌入组织的过程
资源
建立内部沟通和报告机制
建立外部沟通和报告机制
框架的持续改进
实施风险管理
实施风险管理框架
实施风险管理过程
框架的监测和评审
ISO31000：2009标准给出的风险管理框架
88
内部环境
信息沟通
监测
控制活动
风险应对
风险评估
事项识别
目标设定
战略 经营 报告 合规
公
司
层
面
科
室 业
务
单
位
子
公
司
《COSO 全面风险管理框架》（三维图）
99
8.风险管理方针
risk management policy
一个组织对风险管理的意图
和方向的陈述。
101010101010
9.风险管理计划
risk management plan
在风险管理框架内规定用于风险管理
的方法、管理要素、资源的方案。
注1：管理要素一般包括程序、惯例、职责分配、活
动顺序和时间安排。
注2：风险管理计划可应用于特定的产品、过程和项
目、组织的部分或整体。
111111111111
管理方针、程序和惯例对沟通、协
商、明确环境、以及识别、分析、评价、
处理、监测和评审风险活动的系统应用。
12121212
10.风险管理过程
risk management process
1212
组织针对风险管理，提供、共享或获取信息，
与利益相关者进行对话的持续和反复的过程。
注1：信息涉及风险管理的存在、性质、形式、可能
性、严重程度、评定、可接受性、处理。
注2：协商是组织与它的利益相关方，在做出决策或
确定某一问题的方向前，针对问题双向有事实
依据的沟通的过程。协商是：
—— 通过影响力而非权力对决策施加影响；
—— 作为决策的输入，而非加入决策。
1313
11.沟通和协商
communication and consultation
13131313
可以影响风险、受到风险影响或自
认为会受到风险影响的任何个人、团体
或组织。
注1：决策者也是利益相关者之一。
注2：术语“利益相关者”包括GB/T19000-
2008中定义的“相关方”。
1414
12.利益相关者 stakeholder
14141414
组织的利益相关者可以包括
1）组织的决策者；
2）组织内部负责制定风险管理政策的人员；
3）组织或活动中实施风险管理的人员；
4）需要对组织的风险管理实践进行评估的人员；
5）组织中负责制定风险管理标准、指南、程序、
应用准则的人员；
6）股东、董事会、高级管理人员、员工、债权人、
供应商、顾客、银行、监管机构、合作伙伴等.
（见GB/T24353:2009前言部分）。
151515151515
Stakeholders 利益相关方
Organisational
Stakeholders
组织的利益相关方
Competitors 竞争对手
Pressure
Groups
压力团体
Customers 顾客
Suppliers 供方
Regulators
法规部门
Public/
Community
社会团体
Employees/
Contractors
雇员/合同工
Financial
Institutions
金融机构
Shareholders
股东
Insurance
Agencies
保险公司
Industry
Associations
行业协会
End Users 最终用户
1616
13.风险感知：risk perception
利益相关者根据其价值观或利害关
系看待风险的方式。
注1：风险感知取决于利益相关者的需要、关注点及知识。
注2：风险感知可能不同于客观数据。
风险感知反映利益相关者的需求，问题、知识、信念和价
值。
利益相关者的需要及关注的问题不同，因而风险感知会有
所不同。
风险感知会存在一定的主观判断，因而可能与客观数据有
不同。
17171717
评价风险严重性（度）的依据。
注：风险准则包括相关的成本及收益，法律法规要求，社会
及环境因素，利益相关者的态度，优先次序和在评估过
程中的其他要素。
风险准则是组织用于评价风险重要度的标准，因此，风险
准则需体现组织的风险承受度，并反映组织的价值观、目
标和资源。
风险评价准则会涉及到各个方面，如成本收益、法律法规、
利益相关者态度等。
风险准则也会直接或间接反映法律法规要求或其他需要组
织遵循的要求。准则也是使组织对接受风险做出决定的依据。
1818
14.风险准则：risk criteria
18181818
包括风险识别、风险分析和风险评
价在内的全部过程。
1919
15.风险评估 risk assessment
风险评估
风险识别
风险分析
风险评价
19191919
发现、列举和描述风险要素的过程
2020
16.风险识别
risk identification
20202020
风险的结构化描述通常包含四
要素：来源、事件、因素和结果。
17.风险描述，risk description
21212121
导致风险的单独或组合的内在可能
性的因素.
注：风险源可能是有形的或者是无形的。
18.风险源（来源）risk source
22222222
具有风险管理权限和责任的
个人或实体。
19.风险所有者 risk owner
23232323
风险描述
风险名称: 安全生产风险
风险类别: 运营风险
发生过程: 企业在生产经营过程中发生安全生产事故。
造成的损失或影响:
安全生产事故的发生会直接造成人员伤亡，生产设施损坏，工程或
者产品毁坏，生产停顿，给企业带来重大经济损失；同时还会使企
业声誉遭受严重影响。
由于国家对建筑施工企业执行严格的安全生产许可证制度，重大安
全事故的出现意味着企业也将被禁止市场准入，失去了招标投标的
资格。
2424
风险描述
风险名称: 劳务分包、劳务用工风险
风险类别: 运营风险
发生过程: 项目执行过程中使用不合格的劳务队伍、违法用工而引
发一系列的问题。
造成的损失或影响:
劳务分包、劳务用工规模巨大，据测算，此类用工量4倍于职工的数
量。
不合格劳务队伍在施工过程中容易产生进度、工期、质量、安全等多
方面的问题，将给项目造成人身和财产损失；劳务供方拖欠农民工工
资，将引发农民工讨薪事件，进而对公司的声誉和形象造成不利影响；
劳务企业未与农民工签订劳动合同、未缴纳工伤保险，公司使用劳务
派遣工不当将承担法律风险和相关责任。
2525
理解风险的性质和确定风险
程度的过程。
注1：风险分析为风险评价和风险处理决策提供了
基础。
注2：风险分析包括风险估测。
2626
20.风险分析 risk analysis
26262626
将风险分析的结果与风险准则进行比
较，以确定风险和（或）其量是否可接受
或可容许。
注：风险评定有助于有关风险处理的决策。
2727
21.风险评价 risk evaluation
27272727
一个组织愿意追求或保留风险的
数量和类型。
GB/T24353:2009 中提到这一词汇
COSOⅡ指出：
风险偏好是企业追求目标中愿意接受风险
的程度
指导企业的资源配置；
2828
22.风险偏好, risk appetite
28282828
接受某一风险的决定。
注：风险承受取决于风险准则。
任何规模和类型的组织都面临风险，组织的所有
活动都涉及风险。只是组织应通过确定风险准则，
来决定对某一风险是否接受。
组织的价值取向和能力不同，因而是否能接受某
一风险会有不同的决定，这些决定会依据风险准
则的要求。
2929
23.风险承受 risk acceptance
29292929
风险偏好/风险承受
风险偏好
解决“公司愿意承担什么
风险”的问题
描述公司对待风险的基本
态度和看法
风险偏好的确定基于公司
的使命、愿景
承担什么风险？
承担多少风险？
风险承受度
解决“公司能够承担多大
风险”的问题
描述公司能够承担的风险
的限度
风险偏好的边界是什么？
3030
政策风险
市场风险
设备管理风险
工程建设风险
信用风险
现金流风险
客户风险
积极利用 适度承担 坚决避免
风险厌恶风险喜好
合规风险
风险偏好
安全生产风险
3131
注1：风险处理可包括：
——通过决定不启动或停止产生风险的活动而避免风险。
——为了追求机会采取或增加风险。
——消除风险源。
——改变可能性。
——改变后果。
——与其他方面共同分担风险（包括合同、风险融资）。
——通过有事实依据的决策保留风险。
修正风险的过程
3232
24.风险处理 risk treatment
32323232
决定不陷入风险，或者从风险状
态中撤离的行为。
注：这个决定可能是以风险评价结果为依据的。
在风险评价之后，风险管理者会发现某些风险发生损失的可
能性很大，或者一旦发生且损失的程度非常严重时，可以采
取主动放弃原来承担风险或完全拒绝承担该风险的实施行动，
就是对风险的规避。
风险规避是一种主动的行为，但放弃风险同时也意味着收
益的丧失。
3333
25.风险规避: risk avoidance
33333333
为实现风险处理及其他相关活动的
费用提供资金的活动。
注：在某些行业中，风险融资特指对风险造成
的财务后果提供资金。
组织在风险处理（风险规避、风险优化、风险转
移、风险自留）过程中，需要支付一定的费用，
以实现管理风险或补偿损失，因而会采用各种方
式融通资金。
融通资金是为风险管理对资金的筹措，也是风险
的一种财务补偿机制。风险估计和风险评价是融
资的主要数据依据。
3434
26.风险融资: risk financing
34343434
接受某一特定风险带来的损失或收益。
注1：风险自留包括接受那些没有得到识别的风险。
注2：风险自留不包括运用保险或者其他方法进行
的风险转移的处理。
注3：对风险的接受程度和对风险准则的依赖程度
可能会有变化。
3535
27.风险自留: risk retention
35353535
